wireguard: bump to release 0.0.20171005 for 17.01

WireGuard is well documented for being an experimental project, not
currently ready to be stabilized. As such, it's important for packagers
to always keep the project up to date in all contexts.

However, it is common for some projects, such as LEDE/OpenWrt to have
stable branches, which don't expect a lot of churn or modification.

The WireGuard that happened to ship with 17.01 is broken and crufty and
shouldn't be used at all. It's highly unlikely that there's anybody out
there even using it; it won't work with anything else.

So, this commit updates the 17.01 package to the latest upstream
version. Because the 17.01 stable branch can't be updated all the time,
it's important that this bump here in this commit is a stable one.

I believe 0.0.20171005 to be a fairly stable snapshot, which should be
suitable for the 17.01 branch. As stated earlier, the 0.0.20170115
currently in this branch is highly problematic. 0.0.20171005 offers
extremely important changes.

I'll continue to send package bumps for 17.01, but only for snapshot
releases that I think fix an important bug or provide a noted increase
in stability, or have similar goals to this commit.

Signed-off-by: Jason A. Donenfeld <Jason@zx2c4.com>

Merge pull request #4879 from nxhack/17_01-CVE-2017-1000250

[lede-17.01] bluez: fix CVE-2017-1000250

bluez: fix CVE-2017-1000250

Signed-off-by: Hirokazu MORIKAWA <morikw2@gmail.com>
bluez: fix CVE-2017-1000250

Signed-off-by: Hirokazu MORIKAWA <morikw2@gmail.com>

tor: update to version 0.2.9.12

This fixes the TROVE-2017-008 (CVE-2017-0380) security problem.

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

tor: update to version 0.2.9.11

This fixes CVE-2017-0376

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

Merge pull request #4862 from luizluca/17.01/ruby-2.4.2

[17.01] ruby: bump to 2.4.2 (backported from master)

ruby: bump to 2.4.2

This release contains some security fixes.

 CVE-2017-0898: Buffer underrun vulnerability in Kernel.sprintf
 CVE-2017-10784: Escape sequence injection vulnerability in the Basic authentication of WEBrick
 CVE-2017-14033: Buffer underrun vulnerability in OpenSSL ASN1 decode
 CVE-2017-14064: Heap exposure in generating JSON
 Multiple vulnerabilities in RubyGems
 Update bundled libyaml to version 0.1.7.

And many other bugfix.

Signed-off-by: Luiz Angelo Daros de Luca <luizluca@gmail.com>
(cherry picked from commit 699d9bef30df17272b834a6c6bd8d0c5f8bbf1c9)

collectd: uptime plugin: apply fix from upstream

Backport from master the fix for uptime plugin.
Adjust it for 5.5.3

  Uptime plugin fails to adjust for system time changes after boot.
  As Openwrt/LEDE routers usually do not have a RTC, the system time
  gets adjusted with NTP possibly after collectd has already started.
  But collectd continues to use the initial time set by 'sysfixtime',
  which can lead to incorrect uptime calculations.

  Apply a proposed fix from upstream that uses /proc/uptime

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

Merge pull request #4834 from marcin1j/pr/20170911-mwan3-backport-lede17.01-66406f9

mwan3: fix interface-bound traffic when interface is offline

mwan3: fix interface-bound traffic when interface is offline

This is a backport of 66406f9 to LEDE 17.01 and replaces hotfix 282e900.

Signed-off-by: Marcin Jurkowski <marcin1j@gmail.com>

haproxy: update to 1.7.8 and pending patches
 - fixes reload issue with hanging process

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

pcre: Added fix for CVE-2017-11164 by adding stack recursion limit

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

pcre: upgrade to version 8.41
 - fixes security issues

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

strongswan: fix typo

Signed-off-by: Stijn Tintel <stijn@linux-ipv6.be>
(cherry picked from commit 4660504c610cc1f4d3d8ef77e7f7fbc6b2fc3d54)

strongswan: add curve25519 plugin

Signed-off-by: Stijn Tintel <stijn@linux-ipv6.be>
(cherry picked from commit a268689adca731fe9c500ddf43ba41b5a502a593)

strongswan: bump to 5.5.3

Fixes CVE-2017-9022, CVE-2017-9023.

Signed-off-by: Stijn Tintel <stijn@linux-ipv6.be>
(cherry picked from commit 960006be50203ebeaa136ec49229eb286e9de785)

strongswan: bump to 5.5.2

Signed-off-by: Stijn Tintel <stijn@linux-ipv6.be>
(cherry picked from commit 18b076ab9359d56ff1fc5b89bda378f2e4723e2d)

Conflicts:
net/strongswan/Makefile

Merge pull request #4722 from TDT-GmbH/mwan3-fixes

net/mwan3: fixes for mwan3 (lede-17.01)

net/mwan3: update Makefile

- Update version
- Update maintainer to me

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

Merge pull request #4741 from EricLuehrsen/unbound_1_6_5

[LEDE-17.01] unbound: update to 1.6.5

unbound: update to 1.6.5

This fixes the root.key file if created when unbound is installed between sep11 and oct11 2017

Signed-off-by: Eric Luehrsen <ericluehrsen@hotmail.com>

net/mwan3: remove lock file on mwan3 stop

Signed-off-by: Florian Eckert <fe@dev.tdt.de>
(cherry picked from commit 5e123852bc2fc6970e9502ca01a697b2fb394e23)

net/mwan3: fix ping issue if last interface recovers from failure

Even though error was fixed the interface checks still fails, if last_resort
was set to blackhole or unreachable.

To fix this issue do not remove failure interface from iptables change on
down event.

Reported-by: Colby Whitney <colby.whitney@luxul.com>
Signed-off-by: Florian Eckert <fe@dev.tdt.de>
(cherry picked from commit 6d99b602fd3425df7b9a3f8d583a2092bb5e1b94)

net/mwan3: fix ipset generation in hotplug script with an lock

Fix critical section during hotplug events.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>
(cherry picked from commit a4fbc7eba670c2622c47ee9fe3d60d89909ea559)

net/mwan3: add lock for mwan3 hotplug script

If more then one interface get up/down at once mwan3 could be in a
undefined state, because more then one mwan3 hotplug script are running
and editing the iptables.

Lock the critical section should solve this issue.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>
(cherry picked from commit b6e9debc1b97f9e4be70fb51404831ed870d844a)

net/mwan3: add connected network regardless of mwan3 interface enable state

If netifd set an interface up/down which is not tracked by mwan3 the
connected network of that interface should regardless be added/removed to the
mwan3_connected ipset.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>
(cherry picked from commit f94975b71fc80912dd84feb845c2d86aeb82e7b1)

net/mwan3: mwan3track interrupt sleep on signal (trap) event

Sleep will be aborted if a signal is send to this process.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>
(cherry picked from commit 7e80e83dfdbfd1408244399ef6af580fff218d4f)

net/mwan3: fix hotplug on ACTION ifdown

On dynamic interface proto (dhcp/pppoe) the hotplug will not execude (exit 9)
because the gateway is already released. The check will now only be made
on a ifup ACTION event.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>
(cherry picked from commit 28c8b664e471df9adbba5f2b8598b4e95ae36f4b)

mosquitto: properly use localhost instead of ipv4

On some environments, connecting to localhost was resolving to ::1,
which didn't match the bind to the explicit 127.0.0.1.

Signed-off-by: Karl Palsson <karlp@etactica.com>

mosquitto: support more config options in UCI

Added many more UCI config options, particularly for bridge connections

The recently introduced username/password options for bridges are kept,
even though they have been deprecated upstream for a while.  In keeping
with this, while support is kept in UCI, the generated mosquitto.conf
file will always generate the "modern" remote_username/remote_password
options preferred by mosquitto instead.

Likewise for bridge clientid and remote_clientid options.

Signed-off-by: Karl Palsson <karlp@etactica.com>

acme: Make sure postrm script doesn't fail

Fixes #4716.

Signed-off-by: Toke Høiland-Jørgensen <toke@toke.dk>

acme: Fix for curl linked against mbed TLS. (#4254)

Use newest acme.sh release (2.6.8).
Remove dependency on ca-certificates and add dependency on ca-bundle.
Update environment variable.

Signed-off-by: Daniel Halmschlager <da@halms.at>
Backport to 17.01 for compatibility with 17.01.2, but keep the old envvar so
it'll hopefully keep working for users who haven't upgraded.

Closes #4579, closes #4699.

Signed-off-by: Toke Høiland-Jørgensen <toke@toke.dk>

nlbwmon: update to latest version

Changes since last update:

32fc092 build: remove extraneous _GNU_SOURCE defines
096aaa3 build: compile with -D_GNU_SOURCE
76487b5 transform to source-only repository

Fixes build with uClibc and eglibc toolchains.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

nlbwmon: add package

This commit introduces nlbwmon, the lightweight NetLink BandWidth Montor.

The nlbwmon daemon gathers per-host traffic statistics by querying netlink
accounting data. Due to this approach, the executable is very small and does
not rely on libpcap and CPU intensive raw sockets to monitor traffic.

Besides raw per-host traffic counters, nlbwmon also support rudimentary
traffic classification by observing IP protocols and used port numbers.

Gathered accounting data is stored into a series of database files which
are regularily committed to persistent storage.

Refresh, commit and accounting intervals are freely configurable as well
as the layer7 protocol mapping rules and observed source subnets.

This package also bundles a cli client which can be used to dump the
gathered traffic data as JSON, CSV or plaintext data. A pull request to
add a graphical LuCI frontend for nlbwmon is pending.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

mosquitto: update to 1.4.14

Fixes a regression due to the CVE fix in the recently released 1.4.13.

https://mosquitto.org/2017/07/version-1-4-14-released/

Signed-off-by: Karl Palsson <karlp@etactica.com>

mosquitto: update to 1.4.13

Primarily a bugfix release for a CVE that doesn't affect lede/openwrt,
but also includes some websockets perfomance fixes.

Release notes at https://mosquitto.org/2017/07/version-1-4-13-released/

Signed-off-by: Karl Palsson <karlp@etactica.com>

zabbix: update to 3.2.6

Signed-off-by: Etienne Champetier <champetier.etienne@gmail.com>

zabbix: partially fix zabbix-extra-mac80211

In kernel commit f1160434c7658af3f7b0926b88df49a66cb3c3e0 many stats
that we read with zabbix-extra-mac80211 have been renamed
One commit after (c206ca670974cefec7ac3732db5c8156e8081a8d) those renamed
stats have been hidden behind MAC80211_DEBUG_COUNTERS compile flag

For now you have to edit mac80211 Makefile / do a custom build to access
most of these stats

Signed-off-by: Etienne Champetier <champetier.etienne@gmail.com>

zabbix: update to 3.2.4, use PKG_HASH

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

lighttpd: backport more mod_cgi fixes queued for 1.4.46

The most important change is local redirects being disabled by default.
There is an option called cgi.local-redir that allows enabling this
optimization manually back if needed.

Local redirects were initially introduced in 1.4.40 but caused many
problems for *some* web services.

One of problems is breaking Post/Redirect/Get design pattern. With
redirects handled on server side there is no browser redirection making
it "lose" the POST data.

Another possible issue are HTML forms with action="". With CGI local
redirects browser may be sending form data to the wrong URL (the one
that was supposed to redirect the browser).

Signed-off-by: Rafał Miłecki <rafal@milecki.pl>

coreutils: stdbuf: fix missing libstdbuf.so

Fixes #1674

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

gnutls: updated to 3.5.13

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

libtasn1: updated to 4.12

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

openconnect: new option mtu

According to openconnect --help output:

  -m, --mtu=MTU                   Request MTU from server
      --base-mtu=MTU              Indicate path MTU to/from server

Fixes #2099 by allowing setting tunnel mtu

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

openconnect: drop stale config: interface

It was introduced with 41f8d5465 ("openconnect: fix a couple of minor
things and add an interface option") and not needed since 4083de9d7
("openconnect: use proto_add_host_dependency")

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

openconnect: Bump openconnect to 7.08

Bump openconnect to 7.08. Remove patch as it is included in the
upstream source.

Signed-off-by: Qian Sheng billsq@billsq.me

minidlna: backport fixes from 1.1.6 and 1.2.0 releases

This fixes one or two issues and adds support for few new devices
including Kodi.

Signed-off-by: Rafał Miłecki <rafal@milecki.pl>

Merge pull request #4482 from MikePetullo/lede-17.01

openldap: update to 2.4.45

openldap: update to 2.4.45

Fixes CVE-2017-9287

Signed-off-by: W. Michael Petullo <mike@flyn.org>

mosquitto: fix empty client-nossl package

Fallout of PROVIDES handling.
Fixes: https://github.com/openwrt/packages/issues/4432
Signed-off-by: Karl Palsson <karlp@etactica.com>

Merge pull request #4443 from MikePetullo/lede-17.01-libdmapsharing

libdmapsharing: update to 2.9.38

libdmapsharing: update to 2.9.38

Signed-off-by: W. Michael Petullo <mike@flyn.org>

tor: update to version 0.2.9.10

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

net/mosquitto: bump to 1.4.12 for CVE-2017-7650

Dot release, primarily due to CVE-2017-7650 but also rolls up some
earlier patches.

Signed-off-by: Karl Palsson <karlp@etactica.com>

canutils: rework recipe

Don't group any utilities but just list them all as they are.

Fixes:
https://github.com/openwrt/packages/issues/3695

Signed-off-by: Yegor Yefremov <yegorslists@googlemail.com>

vsftpd: create directory for extra config files

* create /etc/vsftpd directory for extra config files
  like userlist, certificate and key
* modify config file to use that directory
* include that directory in conffiles for backup

* use PKG_HASH
* update URL

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>
(cherry picked from commit 3f390c55097e6d447c9c788d8b836519127fc1de)

Merge pull request #4300 from mrnuke/for-17.01-gpsd

utils/gpsd: Backport ncurses6 support from master

gnutls: updated to 3.5.11

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

ocserv: updated to 0.11.8

Signed-off-by: Nikos Mavrogiannopoulos <nmav@gnutls.org>

net/mosquito: bump to 1.4.11

Full changelog available at:
https://mosquitto.org/2017/02/version-1-4-11-released/

Mostly ipv6 and websockets fixes, but requires a patch (submitted
upstream) to work around an accidental glibc dependency upstream.

Signed-off-by: Karl Palsson <karlp@etactica.com>

net/mosquitto: support more config fields in init script

Adds the "notifications" option which is important when connecting
mosquitto to rabbitmq for instance.

Signed-off-by: Karl Palsson <karlp@etactica.com>

net/mosquitto: Added further security configuration options for bridge section

Signed-off-by: David Thornley <david.thornley@touchstargroup.com>

net/mosquitto: use PROVIDES for -client tools also

Earlier, PROVIDES handling was clarified for the broker and the library.
Use the same style to properly provide the -client-ssl and -client-nossl
packages.

Signed-off-by: Karl Palsson <karlp@etactica.com>

adblock: backport updates to 2.6.2

Backport updates in 2.5.0-2.6.2 from master.

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

collectd: build cpufreq also for armvirt target

Enable collectd-mod-cpufreq also for armvirt to make it
available for ipq806x devices in LEDE buildbot builds.

LEDE phase2 buildbot for arm_cortex-a15_neon-vfpv4 that is
the package arch for ipq806x, uses armvirt SDK instead of
ipq806x SDK.

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

nano: Update to version 2.7.5

Description: fixes a crash with zero-length regex matches and further updates

Signed-off-by: Daniel Albers <Daniel.Albers@public-files.de>
(cherry picked from commit 249ae1f164d18edaa79aa28a2084857aeeacf365)

irqbalance: backport package from master

The purpose of irqbalance is to distribute hardware interrupts across
processors/cores on a multiprocessor/-core system in order to increase
performance.

Only the cmd-line tool is compiled and installed.

Run-tested with ipq806x / R7800.

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>
(cherry picked from commit c5913bd12d73c4c781b79c16246a8e9c8d236b8f)
(cherry picked from commit c42ecd05a1c91070bc86b4d8254972562b6e0c67)
(cherry picked from commit a1a96fc9fa8312c87ee997d613e9e9de3f3a82d9)

utils/gpsd: Backport ncurses6 support from master

Because gpsd FTBTS without this patch.

Signed-off-by: Alexandru Gagniuc <mr.nuke.me@gmail.com>

Merge pull request #4279 from equinox0815/collectd-fix-gcrypt-include-path

collectd: fix libgcrypt include dir

collectd: fix libgcrypt include dir

Signed-off-by: Christian Pointner <equinox@spreadspace.org>

subversion: add unixodbc dependency

Compile tested: LEDE HEAD

If unixodbc package is present in the environment, subversion
fails to compile due to missing dependencies.

Fixes the dependency on unixodbc if unixodbc package is selected.

Signed-off-by: Val Kulkov <val.kulkov@gmail.com>
(cherry picked from commit 06a529df359b6704c383cf4881531f409ebb41b0)

Merge pull request #4184 from luizluca/cc/ruby_update

[lede-17.01] ruby: bump to 2.4.1

collectd: upstream fix for vulnerabity in network plugin

Backport an upstream fix for a DDoS vulnerability in the
network plugin: CVE-2017-7401

The patch has been adapted from the fix for 5.6 branch,
as 5.5 is already EoL in practice.

Run-tested with R7800/ipq806x.

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

Merge pull request #4277 from nxhack/cve_2017_7868

[lede-17.01] icu: fix CVE-2017-7867 CVE-2017-7868

[lede-17.01] icu: fix CVE-2017-7867 CVE-2017-7868

icu: CVE-2017-7867 CVE-2017-7868: Heap-buffer-overflow in utf8TextAccess

Signed-off-by: Hirokazu MORIKAWA <morikw2@gmail.com>
icu: increase PKG_RELEASE

lua-bencode: download .tar.gz instead of using hg

Avoid using 'hg' (Mercurial) to download sources.

'hg' is not an official prerequisite and it is not installed
in all buildslaves in Openwrt and LEDE buildbots, which
leads to frequent build failures.

Download the .tar.gz source archive instead.

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>
(cherry picked from commit 74e53c48425609b4f0adb0b284b71a85e4e40b88)

dovecot: disable ICU normalization support for FTS #4077

Signed-off-by: Lucian Cristian <lucian.cristian@gmail.com>
(cherry picked from commit a00af843750043d59906a5712254298ddfb30b82)

dovecot: change the maintainer to me

Signed-off-by: Lucian Cristian <lucian.cristian@gmail.com>
(cherry picked from commit 1c38b1d22f4e83c5b46c5ee37cd110cb19ff5a85)

lighttpd: disable trigger_b4_dl module due to buildbot failure

trigger_b4_dl fails to build in the 17.01 buildbot and that causes
also three other modules to be unbuilt (userdir, usertrack, webdav).

As a quick fix, disable trigger_b4_dl to see if the three missing
modules then build ok in the buildbot.

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

Revert "lighttpd: add new modules, upd URLs, add restart()"

This reverts commit 18d7593c726938a17c2d7fb23aa9de64fb1e8aa5.

Buildbot did not build the new version successfully due to
krb5 detection problems. Let's revert to the previous version,
so that 17.01.1 can be built in a stable way.

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

lighttpd: add new modules, upd URLs, add restart()

Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>
cherry picked from commit 6e788aca0c5c004c3fe493ab31929fec97506070
Hopefully this will fix compilation of some plugins in the 17.01 buildbot.
signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

Merge pull request #4238 from EricLuehrsen/unbound_17_01

[lede-17.01] unbound: merge trunk bugfixes for March 2017

unbound: improve interface trigger behavior

procd interface triggers may be busy. Unbound hard restarts will
flush the cache. This might happen frequently depending on how
interface triggers occur.

Change the procd trigger to reduce occurences. Load this trigger
prior to netifd (START=20), but only truly start Unbound from
the trigger rather than immediately in init. Clean up log entries
in scripts after Unbound, NTP, and DNSSEC are established.

Signed-off-by: Eric Luehrsen <ericluehrsen@hotmail.com>

unbound: support copy without dash update

Signed-off-by: Eric Luehrsen <ericluehrsen@hotmail.com>

unbound: fix hotplug iface and ntp restarts

Unbound is configured to restart on hotplug/iface but this can result
in numerous restarts at boot. Unbound also has a restart for NTP.
This was observed to generate trouble and even with procd robustness
too many crashes might occur (rare). Unbound would not be running.

Give more care to /var/lib/unbound/root.key during restarts. Use procd
for iface restarts. Check pidof() to wait one more second for Unbound.

Signed-off-by: Eric Luehrsen <ericluehrsen@hotmail.com>

unbound: bugfix init race condition invalid FQDN

options 'add_local_fqdn' and 'add_wan_fqdn' can be affected
by race conditions when they are at level 4. Interface name
may not be returned by network tools. The conf file has bad
record formats and Unbound just will not load. Detect this
and fall back to only the host FQDN (level 3).

squash: improve documentation wording and format codes.

Signed-off-by: Eric Luehrsen <ericluehrsen@hotmail.com>

unbound: fix odhcpd trigger script

Read UNBOUND_TXT_DOMAIN from main unbound configuration.
This prevents records to be added into Unbound in the default 'lan' zone.

Signed-off-by: Audric Schiltknecht <storm+github@chemicalstorm.org>

package: haproxy
[RELEASE] Released version 1.7.5 due to bug in compression

 Released version 1.7.5 with the following main changes :
  - BUG/MEDIUM: peers: fix buffer overflow control in intdecode.
  - BUG/MEDIUM: buffers: Fix how input/output data are injected into buffers
  - BUG/MEDIUM: http: Fix blocked HTTP/1.0 responses when compression is enabled
  - BUG/MINOR: filters: Don't force the stream's wakeup when we wait in flt_end_analyze
  - DOC: fix parenthesis and add missing "Example" tags
  - DOC: update the contributing file
  - DOC: log-format/tcplog/httplog update
  - MINOR: config parsing: add warning when log-format/tcplog/httplog is overriden in "defaults" sections

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

package: haproxy
Correct Download Url to http://www.haproxy.org/download/1.7/src

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

package: haproxy bump to latest stable 1.7.4
    [RELEASE] Released version 1.7.4

    Released version 1.7.4 with the following main changes :
        - MINOR: config: warn when some HTTP rules are used in a TCP proxy
        - BUG/MINOR: spoe: Fix soft stop handler using a specific id for spoe filters
        - BUG/MINOR: spoe: Fix parsing of arguments in spoe-message section
        - BUG/MEDIUM: ssl: Clear OpenSSL error stack after trying to parse OCSP file
        - BUG/MEDIUM: cli: Prevent double free in CLI ACL lookup
        - BUG/MINOR: Fix "get map <map> <value>" CLI command
        - BUG/MAJOR: connection: update CO_FL_CONNECTED before calling the data layer
        - BUG/MEDIUM: ssl: switchctx should not return SSL_TLSEXT_ERR_ALERT_WARNING
        - BUG/MINOR: checks: attempt clean shutw for SSL check
        - CONTRIB: tcploop: add limits.h to fix build issue with some compilers
        - CONTRIB: tcploop: make it build on FreeBSD
        - CONTRIB: tcploop: fix time format to silence build warnings
        - CONTRIB: tcploop: report action 'K' (kill) in usage message
        - CONTRIB: tcploop: fix connect's address length
        - CONTRIB: tcploop: use the trash instead of NULL for recv()
        - BUG/MEDIUM: listener: do not try to rebind another process' socket
        - BUG/MEDIUM: filters: Fix channels synchronization in flt_end_analyze
        - BUG/MAJOR: stream-int: do not depend on connection flags to detect connection
        - BUG/MEDIUM: connection: ensure to always report the end of handshakes
        - BUG: payload: fix payload not retrieving arbitrary lengths
        - BUG/MAJOR: http: fix typo in http_apply_redirect_rule
        - MINOR: doc: 2.4. Examples should be 2.5. Examples
        - BUG/MEDIUM: stream: fix client-fin/server-fin handling
        - MINOR: fd: add a new flag HAP_POLL_F_RDHUP to struct poller
        - BUG/MINOR: raw_sock: always perfom the last recv if RDHUP is not available
        - DOC/MINOR: Fix typos in proxy protocol doc
        - DOC: Protocol doc: add checksum, TLV type ranges
        - DOC: Protocol doc: add SSL TLVs, rename CHECKSUM
        - DOC: Protocol doc: add noop TLV
        - MEDIUM: global: add a 'hard-stop-after' option to cap the soft-stop time
        - BUG/MINOR: cfgparse: loop in tracked servers lists not detected by check_config_validity().
        - MINOR: server: irrelevant error message with 'default-server' config file keyword.
        - MINOR: doc: fix use-server example (imap vs mail)
        - BUG/MEDIUM: tcp: don't require privileges to bind to device
        - BUILD: make the release script use shortlog for the final changelog
        - BUILD: scripts: fix typo in announce-release error message

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

package: memcached - upgrade to latest stable
bump to version 1.4.36

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

ruby: bump to 2.4.1

This releases contains only bug and security fixes,
mostly backported from devel branch.

(cherry picked from commit 26d19b5cb1293d0e2058c09bb63c007bd124cdb2)

Signed-off-by: Luiz Angelo Daros de Luca <luizluca@gmail.com>

[libs/pcre]: fix CVE-2017-7186
Fix CVE-2017-7186 mentioned in https://bugs.exim.org/show_bug.cgi?id=2052

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

package: haproxy
 - bump to stable 1.7.3 and pending patches from upstream

Signed-off-by: heil <heil@terminal-consulting.de>

Merge pull request #4120 from gabri94/lede-17.01

openwisp-config: new package

openwisp-config: new package

Signed-off-by: Gabriele Gemmi <gabriel@autistici.org>

adblock: backport updates upto 2.4.0-2

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>
Original commit messages:

adblock: update 2.3.2
* optimize memory consumption &
  enable overall sort only on devices with > 64MB RAM,
  this prevents sort related kernel dumps
(cherry picked from commit 8c5b9a0802dec0876488779f0836c5b4698388cc)

adblock: release 2.4.0
* add tld compression,
  this new "top level domain compression" removes up to 40 thousand
  needless host entries from the block lists and
  lowers the memory footprint for the dns backends by 8-10 MByte
* optimize restart behavior in case of an error
* cosmetics
(cherry picked from commit ed470f0dcc66f42bc57e3795e3c9f37629e2cbcd)

adblock: release 2.4.0 (release 2)
* add missing sort step if tld compression was disabled
(cherry picked from commit b3b9972eacdf4acc5ff231f7aa5c32d14fbc4841)

Merge pull request #4072 from EricLuehrsen/unbound_17_01

[lede-17.01] unbound: service update respective of 1.6.1-2

unbound: improve maintenance of trust anchor

Unbound UCI tries to protect embedded flash from excess
use. Unbound RFC5011 KSK tracking can rewrite root.key
every few minutes to an hour. It also writes and destroys
files in the same directory during the process.

Recommended UCI delays for copying busy work in /var/
back to /etc/ may be too conservative. These are all
changed from 28 to 9 days.

The RFC5011 KSK results were also destroyed by an
init.d restart, even if /var/ is mounted on persistent
storage like USB drive. /var/lib/unbound/root.key is
now preserved during this process, unless a newer key
is installed in /etc/ manually or package update.

Signed-off-by: Eric Luehrsen <ericluehrsen@hotmail.com>

unbound: Update to 1.6.1 with 2017 trust anchor

Unbound 1.6.1 has a few bug fixes for resource leaks,
configuration robustness, compile environment interaction,
and maintaining the trust anchor. The 2017 trust anchor
(DS) is built into unbound and unbound-anchor.

File /etc/unbound/root.key holds 2010/2017 DS record until 2018
https://www.icann.org/resources/pages/ksk-rollover
https://www.iana.org/domains/root

Signed-off-by: Eric Luehrsen <ericluehrsen@hotmail.com>